Services Généraux sur IP : nouveaux risques

Transcription

1 Services Généraux sur IP : nouveaux risques 01 Security Management Paris Pascal LOINTIER Président du CLUSIF Conseiller sécurité de l information, CHARTIS

2 Agenda de présentation Périmètre d étude Quelques faits, événements récents Migration technologique/commerciale, exposition croissante Eléments de solution 2

3 Services Généraux (SG), périmètre d étude Il s'agit de l'ensemble des services nécessaires au fonctionnement normal d'une entreprise: achats de matériels, de fournitures, achat de terrains, construction de bâtiments, gestion des locaux techniques et des fluides: électricité, froid, chauffage, entretien des bâtiments. L'expression "Services Généraux" est généralement réservée à une activité interne de l'entreprise. Lorsque cette activité est externalisée, l'expression "Multi-service" est souvent employée. En anglais on appelle ce service "Facility Management" ou "Facilities Management". Il existe des entreprises spécialisées dans ce domaine. (source Wikipedia) 3

4 2001 : virus CodeRed sur MFP Un virus avec un moteur de scan IP très puissant pour détecter les cibles de contamination Saturation de la bande passante du réseau interne (et impossibilité de télécharger la mise à jour de l antivirus ) Contamination des imprimantes sur le réseau (source Panorama 2001) 4

5 MFP? Multi Function Printer Printer ou device (MFD), donc un équipement qui imprime, qui numérise, qui envoie un courrier, qui stocke tout cela sur un disque dur dans la machine Système d exploitation standardisé,, accès telnet, http sans antivirus ni pare-feu Accessoirement, disque dur non chiffré (encodage propriétaire >< chiffrement), option d écrasement non activée Les imprimantes restent souvent du ressort des SG à cause des commandes de papier. Le rattachement à la DSI ou l implication du RSSI (Responsable Sécurité) semble pourtant légitime 5

6 2002 : DISA et caméras WiFi, les prémices Mai 2002, un service de sécurité américain (DISA) admet avoir utilisé une infrastructure WIFi non sécurisée (802.11b) pour la transmission de vidéos de sécurité Exploitation par un tiers des images, DoS (déni de service) combiné à une intrusion, connaissance des angles de vidéosurveillance, etc. (source Panorama 2002) 6

7 2007 : CNN et groupe électrogène Septembre 2007 Idaho (E-U): la chaîne CNN demande à des experts du DHS (Department of Homeland Security) de provoquer à distance la destruction d u groupe électrogène. Cette action est rendu possible par l injection de commandes numériques sur un équipement sans correctifs de sécurité (source Panorama 2007) 7

8 2008 : badges sur IP Annonce faite par le CCC (Chaos Computer Club, Allemagne) le 1/1/2008 : Cassage de l algorithme de chiffrement Mifare : produit de la société NXP, destiné notamment à de l authentification sans contact (technologie RFID) Système de transport public (Londres, Perth, Amsterdam ) Cas du système hollandais : 2 types de tickets «Ultralight card», usage unique : simple mémoire + système sans contact, aucune protection «Classic card», pour abonnements : idem, mais protection cryptographique des échanges par un algorithme «secret» (CRYPTO1) Mifare est utilisé pour des contrôles d accès par badge en entreprise (source Panorama 2008) 8

9 SCADA : malveillances internes (via le S.I.) 2007 : bombe logique d un employé sur un système de contrôle d irrigation des eaux de barrage (Californie) 2007 : prise de contrôle et perturbation des feux de signalisation (Californie) 2007 (et 2000 en Australie) : sabotage logique par un administrateur réseau du système d approvisionnement en eau (Californie) 2007 destruction expérimentale d un générateur électrique (Idaho pour CNN) 2008 : prise de contrôle et déraillement de 4 wagons, plusieurs blessés (Pologne) 9

10 2009 : la migration IP continue Après la téléphonie, le reste des infrastructures générales migre sur les réseaux IP : Systèmes SCADA (pilotage, processus industriel ) Migration complète (y compris le transport ou les équipements terminaux) ou partielle (supervision, commande, reporting ) Surveillance et accès (portes, badgeuses, caméras, détecteurs présence, détecteurs incendie, humidité ) Climatisation, chauffage, éléments de confort (volets) Energie (onduleurs, électrogènes ) (source Panorama 2009) 10

11 2009 : serrures sur IP Lyon, 29/08/2009 -La prison neuve de Corbas (Rhône) connait depuis une semaine des pannes du système d'ouverture automatisédes portes [ ] Les serrures électriques commandées àdistance par écran tactile ont cesséde fonctionnerle week-end dernier, entre samedi 15h30 et dimanche soir, empêchant la circulation de prisonniers, gardiens et visiteurs àl'intérieur de la prison. Roanne, 02/09/2009 -La prison de Roanne, inaugurée en janvier dans la Loire, a étéparalysée par une panne informatique empêchant l'ouverture de toutes les serrures électroniques. Le système vidéo, les alarmes et les ouvertures de portes commandées àdistancesont tombés en panne vers 15H00 et n'ont étéréparés que vers minuit, après l'intervention de techniciens venus de Paris 11

12 2009 : SWATTING for Money Hammond (Indiana, E-U), juillet 2009 : début du procès de jeunes hackers qui vendaient en ligne l accès vidéo à une action SWAT en cours (partyvanpranks.com). Pour cela, ils ont commencé par prendre le contrôle à distance des caméras de surveillance Google Search: camera linksys inurl:main.cgi Another webcam, Linksys style. ******************************************** * inurl: ViewerFrame?Mode= * intitle:axis 2400 video server * intitle: Live View/ - AXIS inurl:view/view.shtml^ * inurl:viewerframe?mode= * inurl:viewerframe?mode=refresh * inurl:axis-cgi/jpg * 12

13 2009 : caméra pas sur IP ;-) Septembre Vincennes : vers 6h ce jeudi matin, un Egyptien et un Marocain retenus au centre de rétention de Vincennes (Paris 12e) se sont évadés en escaladant une clôture, selon Le Parisien. Pour s échapper, les deux hommes ont arraché le grillage d une fenêtre et modifié le champ d observation d une caméra, en secouant le poteau où elle était accrochée. 13

14 2009 : hacking de la ventilation dans un hôpital Absence de ventilation = évacuation 14

15 2010, La flotte (auto) est sous contrôle! Austin, Texas (E-U) : plus de 100 véhicules ont été immobilisés ou leurs klaxons incontrôlables après qu un individu se soit introduit dans le système web gérant l immobilisation de véhicules (Webtech Plus) en cas de défaut de paiement 15

16 Eléments de solution Tout le monde est concerné : existence de services généraux, production/logistique industrielle assistée par ordinateur Corollaire, 5 S.I. dans une entreprise (en fonction de l activité) Management (gestion, comptabilité, etc.) Externalisé/infogéré Production/régulation/logistique (cf. SCADA) VoIP Services Généraux (sans oublier le cyber-mapping) Les responsables de la sécurité physique n ont pas tous une sensibilité/savoir faire quant à la sécurité logique Document du NYPD (2009) sur le contre-terrorisme dans les bâtiments publics sans aucune mention de cette évolution d environnement :la seule référence à un élément informatique recommande l installation d une caméra sur un capteur d ouverture pour la levée de doute 16

17 Eléments de solution La redondance n est plus Hypothèse (obsolete?) de sûreté de fonctionnement MTBF (Mean Time Between Failure) Faible probabilité de défaillance quasisimultané de deux équipements identiques Aujourd hui, une couche logicielle, un «point de passage» électronique-informatique, sur tout type d équipement Partage nécessaire d informations et de taches entre RSSI ou équivalent Responsabilité fonctionnelle, évaluation du niveau de sécurité, politique de mise à niveau SG, responsable opérationnel (exploitation) 17

18 Points de vigilance Systèmes d exploitation et langages standards Correctifs Infrastructure (Ethernet, WiFi) Point de supervision (poste de travail) Accès distants (modem, Internet) Dialogues M2M 18

19 19